Purga (borrado seguro)

La purga es la eliminación permanente e irreversible de datos de un soporte de almacenamiento, de forma que su recuperación sea inviable, incluso con técnicas de laboratorio avanzadas. Los datos residuales que sobreviven a un borrado normal se llaman remanencia, y la purga existe para eliminarlos.

Más allá de la purga está la destrucción física, como la trituración o la incineración, que también deja el soporte inutilizable. La purga mantiene el equipo en funcionamiento, por eso sirve para soportes que seguirán en uso.

Cuando un usuario elimina un archivo, el sistema operativo quita su nombre del índice del sistema de archivos y marca el espacio como libre. Los bytes de un archivo eliminado permanecen en el soporte hasta que se sobrescriben por accidente, y las utilidades estándar a menudo pueden recuperarlos mientras tanto.

La limpieza (clearing) sobrescribe los datos una vez con un patrón fijo, lo que protege frente a la recuperación con software común. La purga es más fuerte, porque hace inviable la recuperación incluso con técnicas de laboratorio. La tabla muestra qué impide cada nivel.

El marco de referencia es la NIST Special Publication 800-88, Guidelines for media sanitization. Define la escalera clear-purge-destroy y asigna a cada tipo de soporte (discos magnéticos, SSD, cintas, memorias flash, dispositivos móviles) las técnicas adecuadas. Los métodos de purga reconocidos incluyen:

La purga se aplica en momentos concretos de la vida de un soporte, no después de cada eliminación:

• Antes de que un disco, portátil, teléfono o cinta salga de la organización, por ejemplo al venderlo, donarlo, reciclarlo o devolver equipos arrendados
• Cuando un soporte pasa a entornos con niveles de confidencialidad distintos
• Cuando los datos superan su periodo de retención en lugar de quedarse donde están, como datos obsoletos que ya nadie necesita
• En la respuesta a incidentes, cuando los datos se han filtrado a un sistema con menor protección

La sobrescritura no es fiable en soportes flash. El wear leveling y el over-provisioning impiden que el host garantice que se reescribió cada celda física. Por eso, en los SSD se prefieren los comandos nativos de saneado del disco o el borrado criptográfico, y este último es tan fuerte como el proceso de destrucción de claves que tiene detrás.

La purga abarca un solo soporte. Las copias de seguridad, las instantáneas y las copias sombra pueden seguir conteniendo los datos y requieren un tratamiento equivalente. El término también se aplica a datos lógicos, como los registros eliminados de una base de datos, un buzón o un archivo al final de su periodo de retención.

Aquí el reto es la completitud, no la física. Un registro puede persistir en réplicas, registros de transacciones, índices de búsqueda, extracciones de almacenes de datos, informes en caché y copias de seguridad anteriores. Por eso la purga lógica coordina acciones sobre todas las copias. En el caso de copias que no pueden editarse de forma selectiva, la respuesta habitual es la expiración de la retención, declarada expresamente en el calendario de retención.

La purga lógica también aparece en la consola de Anexet DLP. El cuadro de eliminación de incidentes borra los incidentes más antiguos que un número de días, conserva solo los últimos N o elimina todo lo anterior a una fecha elegida. La pestaña de almacenamiento de datos del Reports Server define hasta cuándo se conservan los datos recopilados, aquí los últimos 180 días.

1 / 2

• 
• 

La decisión depende de tres factores: la sensibilidad de los datos del soporte, si se reutilizará dentro o fuera de la organización y qué admite físicamente. Los errores aparecen cuando se mezclan, por ejemplo al aplicar un método de reutilización a un equipo que se va a vender o al destruir hardware aprovechable sin necesidad.

1. 1

   Clasifique los datos

   Antes de elegir un método, determine qué tan sensibles son los datos del soporte.

2. 2

   Revise la ruta de reutilización

   Compruebe si el soporte seguirá en un entorno de la misma sensibilidad o saldrá de la organización.

3. 3

   Asigne el método

   La destrucción corresponde a soportes sensibles que salen de la organización. El saneado nativo del disco sirve para reutilizar en el mismo nivel, y el borrado criptográfico para soportes cifrados con claves bien controladas.

La verificación importa porque las políticas de la organización y los auditores suelen exigir pruebas de que el saneado tuvo éxito. Por eso la remanencia se comprueba después del hecho.

Como la purga es irreversible, requiere autorización y registro. Los controles típicos exigen un responsable aprobador con nombre y una comprobación de que ningún bloqueo legal ni investigación abierta cubre los datos. También exigen un certificado que registre el soporte o el conjunto de datos, el método, el operador, la fecha y el resultado de la verificación. Si la eliminación se externaliza, la cadena de custodia y los certificados de destrucción del proveedor forman parte de ese registro.